Post na lista oss-sec sobre desvio da autenticação por senha no OpenSSH com musl libc

O que aconteceu e o que fazer

O post, publicado na lista oss-sec em 5 de novembro por Jeffrey Walton, trata da discussão sobre "sshole", um desvio da autenticação por senha no OpenSSH combinado com a musl libc. O autor não se limita ao caso específico: argumenta que a prática de usar um único caractere "*", ou uma string curta de caracteres aleatórios, para que os hashes não correspondam provavelmente cria condições para um canal lateral ou um ataque de temporização. Segundo ele, rotinas criptográficas devem operar em tempo o mais constante possível, e o desvio antecipado causado por comprimentos diferentes das strings fornece o canal lateral.

Na prática, uma empresa que opera servidores SSH em imagens baseadas em musl pode revisar como o código de autenticação compara hashes de senha, verificando se há saídas antecipadas dependentes do conteúdo ou do tamanho das entradas. Pode também testar a variação de tempo de resposta do login com contas inválidas, bloqueadas ou com placeholders de hash, usando um laboratório controlado com medições repetidas. Como medida de correção, a equipe pode adotar comparações de tempo constante, padronizar o tratamento de contas sem senha válida e incluir esses testes na esteira de build e de homologação. Também vale monitorar a latência de autenticação em produção para detectar anomalias.

Como a consultoria pode ajudar

Diagnóstico da exposição de servidores e imagens de contêiner que usam OpenSSH com musl libc, incluindo revisão do fluxo de autenticação por senha e do tratamento de hashes. Em seguida, implementação escopada de testes de temporização em laboratório, correções recomendadas e monitoramento contínuo da latência de login.

Próximo passo

Se a sua empresa usa OpenSSH em ambientes com musl libc, envie uma descrição breve da sua infraestrutura e dos fluxos de acesso por senha. A partir dela, a Wendelmaques prepara uma proposta escopada de diagnóstico e implementação.